Cuando alguien busca «ley de inteligencia artificial» suele pensar en una sola norma. En realidad son dos: el Reglamento (UE) 2024/1689, conocido como AI Act o Reglamento de IA, que ya se aplica directamente en España, y el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, que a 15 de septiembre de 2026 sigue en el Congreso. Esta guía explica qué obliga hoy a una pyme que usa IA de terceros, qué llegará en 2027 y qué no le va a aplicar.
Qué es la «ley de IA»: dos normas, no una
El Reglamento europeo es la norma de fondo. Fija qué prácticas están prohibidas, qué sistemas son de alto riesgo, qué deben hacer los proveedores y qué deben hacer las empresas que los usan (los «responsables del despliegue» o deployers). Se aplica por fases desde el 2 de febrero de 2025, y el Reglamento (UE) 2026/1744, el Digital Omnibus de IA, en vigor desde el 27 de julio de 2026, retrasó el alto riesgo y suavizó algunas redacciones. Tienes el detalle en el calendario del AI Act para pymes.
La Ley Orgánica española no crea obligaciones nuevas de fondo. Designa autoridades (AESIA como autoridad de vigilancia y punto de contacto único, la AEPD para biometría y prácticas prohibidas con datos personales, y CNMC, Banco de España, CGPJ y Junta Electoral Central en sus sectores) y tipifica infracciones y multas. Fue aprobada en Consejo de Ministros el 26 de mayo de 2026, publicada en el BOCG el 12 de junio y el plazo de enmiendas cerró el 2 de septiembre. Hasta que llegue al BOE, las multas del Reglamento en España no tienen procedimiento que las aplique.
Tabla de obligaciones por fecha para una pyme que usa IA de terceros
El escenario más habitual: una empresa que usa ChatGPT, Copilot o Gemini, un chatbot en la web, quizá un software de RRHH que filtra candidaturas y una app de cuadrantes. No desarrolla IA, la contrata.
| Desde | Norma | Qué te obliga |
|---|---|---|
| 25-may-2018 | RGPD arts. 13-14, 22, 28, 35 | Informar del tratamiento, contrato de encargado con el proveedor, EIPD si hay IA con datos personales, límites a decisiones automatizadas. |
| 12-may-2021 | Art. 64.4.d ET (Ley Rider) | Informar a la representación legal de los trabajadores de los algoritmos que afectan al empleo y las condiciones de trabajo. |
| 2-feb-2025 | RIA art. 4 | Medidas de alfabetización en IA para el personal que usa sistemas de IA. |
| 2-feb-2025 | RIA art. 5 | Prohibición de reconocimiento de emociones en el trabajo, scoring social, manipulación subliminal y otras prácticas. |
| 27-jul-2026 | RIA art. 5 (Omnibus) | Nuevas prohibiciones sobre contenido íntimo no consentido y material de abuso infantil. |
| 2-ago-2026 | RIA art. 50 | Avisar de que se habla con una IA; etiquetar deepfakes y textos de interés público generados por IA. |
| 5-oct-2026 | RD 723/2026 art. 3.2.k | Informar por escrito a cada trabajador de los sistemas algorítmicos que deciden sobre horarios, tareas, retribución, promoción, lugar de trabajo o extinción. |
| 2-dic-2027 | RIA art. 26 (Anexo III) | Obligaciones de deployer de alto riesgo: RRHH, crédito, educación, servicios esenciales. |
| Sin fecha | Ley Orgánica española | Régimen sancionador y autoridades; depende de su publicación en el BOE. |
Qué aplica hoy
Alfabetización (art. 4). Desde el 2 de febrero de 2025, todo proveedor y responsable del despliegue, sin excepción por tamaño, debe tomar medidas para apoyar la alfabetización en IA de su personal. El Omnibus suavizó la redacción, pero la obligación sigue, y la Comisión ha aclarado que no hace falta certificado: basta un registro interno de formaciones. Lo explicamos en la guía de alfabetización en IA del artículo 4.
Prácticas prohibidas (art. 5). También desde el 2 de febrero de 2025. Para una pyme lo relevante es el reconocimiento de emociones en el trabajo (salvo razones médicas o de seguridad): si un software promete «detectar el estado de ánimo» de tus empleados, entra en la prohibición. Más detalle en prácticas prohibidas del artículo 5.
Transparencia (art. 50). Desde el 2 de agosto de 2026. Si tienes un chatbot, el usuario debe saber que habla con una IA. Si publicas imágenes, audio o vídeo generados que parecen reales, hay que etiquetarlos. Y ojo con el chatbot en marca blanca: si lo rebrandeas o lo modificas de forma sustancial, el artículo 25 puede convertirte en proveedor. Lo desarrollamos en la guía del artículo 50 y el etiquetado de contenido generado.
RGPD. Es lo que más pesa hoy. Cualquier herramienta de IA que toque datos de clientes o empleados necesita base jurídica, información según los artículos 13 y 14, contrato de encargado del artículo 28 con el proveedor y, si el tratamiento está en la lista de la AEPD, una evaluación de impacto del artículo 35. El artículo 22 limita las decisiones únicamente automatizadas. La AEPD sí sanciona, hasta 20 millones de euros o el 4 %.
Laboral. Si tienes comité o delegados de personal, el artículo 64.4.d del Estatuto de los Trabajadores te obliga desde 2021 a informarles de los algoritmos que afectan al empleo. Desde el 5 de octubre de 2026, el RD 723/2026 añade la información individual por escrito a cada trabajador. La Inspección de Trabajo vigila ambas.
Qué llega en 2027
El 2 de diciembre de 2027 empiezan las obligaciones del artículo 26 para quien usa sistemas de alto riesgo del Anexo III. En una pyme eso significa sobre todo RRHH: software que selecciona, filtra currículos, evalúa, promociona o despide. También scoring de crédito, educación y servicios esenciales. Tendrás que usar el sistema según las instrucciones del proveedor, asignar supervisión humana competente, vigilar su funcionamiento con datos de entrada pertinentes, conservar los registros seis meses, informar a representantes y trabajadores afectados antes de usarlo (26.7), informar a las personas afectadas (26.11), hacer la EIPD si procede (26.9) y atender el derecho a explicación del artículo 86. Los sistemas del Anexo I (productos regulados) esperan al 2 de agosto de 2028.
El aplazamiento a 2027 no aplaza nada de lo laboral. El Estatuto de los Trabajadores y el RD 723/2026 se aplican con independencia del Reglamento europeo. Si hoy usas un software que reparte turnos o filtra candidatos, ya tienes obligaciones.
Qué no te aplica
La evaluación de impacto en derechos fundamentales (FRIA) del artículo 27 se aplica desde el 2 de diciembre de 2027 y solo a organismos públicos, entidades privadas que prestan servicios públicos y a banca y seguros. Una pyme típica no tiene que hacerla. Tampoco tiene obligaciones de proveedor si usa herramientas de terceros sin modificarlas ni ponerles su marca: el registro en la base de datos de la UE o el marcado CE son cosas del proveedor.
Quién sanciona hoy y quién no
El Reglamento fija multas de hasta 35 millones de euros o el 7 % por prácticas prohibidas, y de hasta 15 millones o el 3 % por el resto; para las pymes se aplica el importe menor (art. 99.6). Pero en España esas multas las tiene que imponer una autoridad con un procedimiento tipificado, y eso lo aporta la Ley Orgánica. Mientras no esté en el BOE, la AESIA, creada por el RD 729/2023, no tiene régimen sancionador y no constan sanciones ni inspecciones formales en 2026. Su papel hoy es publicar guías (16, en versión 2.0 desde el 17 de julio de 2026) y gestionar el sandbox. Más en qué es la AESIA y qué puede sancionar.
Quien sí sanciona hoy es la AEPD por protección de datos y la Inspección de Trabajo por lo laboral. Si tienes que priorizar, empieza por ahí, sin descuidar lo que el Reglamento ya exige.
Checklist mínimo para una pyme en septiembre de 2026
- Inventaría las herramientas de IA que usa la empresa, incluidas las que el personal usa por su cuenta.
- Comprueba que ninguna hace reconocimiento de emociones de empleados ni otras prácticas del artículo 5.
- Revisa contratos de encargado, información a interesados y necesidad de EIPD con cada proveedor.
- Pon el aviso de IA en tu chatbot y etiqueta el contenido sintético que publiques.
- Organiza una formación básica por puestos y anótala en un registro.
- Prepara la información a los trabajadores (comité y anexo individual) para el 5 de octubre.
- Marca los sistemas de RRHH, crédito o educación como candidatos a alto riesgo para diciembre de 2027.
Si quieres saber cuáles de estos puntos te afectan de verdad, el diagnóstico gratuito de Gobernaia te lo dice en tres minutos a partir de las herramientas que usas.
Preguntas relacionadas
- ¿Qué pasa si mi empresa no cumple el Reglamento de IA?
- ¿Es obligatorio formar a mis empleados en IA?
- ¿Tengo que avisar de que mi chatbot es una IA?
- ¿Necesito una evaluación de impacto por usar IA?
Guías por sector
- IA en inmobiliarias y promotoras: obligaciones al usar IA con compradores e inquilinos
- IA en industria y talleres: qué obliga el Reglamento de IA a una pyme industrial
- IA en hostelería y turismo: obligaciones para hoteles, restaurantes y alojamientos
- IA en agencias de marketing y diseño: obligaciones propias y ante los clientes
- IA en tiendas online: qué obliga la ley a un ecommerce que usa IA
- IA en clínicas y centros de salud privados: obligaciones al usar IA con pacientes
- IA en gestorías y asesorías: qué te obliga la ley (y qué exigirán tus clientes)
Fuentes
- Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial)
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA)
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (BOCG 12-06-2026)
- AESIA: recursos y guías
- AEPD: Adecuación al RGPD de tratamientos que incorporan IA
- Ministerio de Trabajo: Información algorítmica en el ámbito laboral
- Real Decreto 723/2026, de 9 de septiembre (BOE 15-09-2026)
- AI Act Service Desk y Compliance Checker de la Comisión Europea
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.